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(57) Abstract 

The invention concerns the field of Interconnected computer networks, consisting in a system for generating in a simple and automatic 
way filters, according to die internet protocol, designed to avoid the risk of breach in interconnected computer networks. A computer 
terminal (1) and control means (4. 5) interact iterativcly with a graphic interface (2) so as to: generate and display the objects and classes 
requiring security; select and display the application protocols for which filters need to be generated; draw on the graphic interface, by 
means of arrow curves for each application protocol pr&viously selected, the communication laws. The terminal (1) comprises computing 
means (la) for converting the graphic data representing the communication laws into programming data for the screening routers (8). 



(57) Abr£g^ 

Le domaine de I'invention est oelui des rdseaux informatiques inteiconnectfis. Le systfeme selon rinvention a pour obj&t de gtfnferer 
de mAiu&re simple ct automatique les filties, selon le piotocole internet, destines k dviter les risques d* intrusion des rdseaiw informatiques 
interconnect^s. Un terminal de calcul (1) et des moyens de commande (4^ 5) intcragissent de mani^ iterative avec line interface graphique 
(2) poun crfer et visualiscr les obj&ts et les classes du domaine dc s£curit£, s^lectionner et visualiser les protocoles d*appHcation pour 
Icsqucls des filtres doivent toe cr^s, dessiner sur I'interface graphique. au moycn de couibes fl6ch6cs pour diaque protocole d'application 
pr^alablement sdlectionn^ les lois de communication. Le terminal (1) comprend des moyens dc calcul (la) pour convertir les donnfies 
graphiques rcpr&entatives des lois dc communication en donn^es de prograramatioa des routcurs filtrants (8). 
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Precede pour g£n£rer les fiUres destines a £viter les risques 
d'intrusion des reseaux informatiques interconnectes, 

Le domaine de F invention est celui des reseaux informatiques interconnectes, 
Le caractJire ouvert des rfiseaux informatiques selon le protocole Internet offre 
bien des facilites, Toutefois, il apporte aussi son lot de dangers, risques d'intrusion 
des reseaux, difficultes pour se proteger. II existe des materiels et des logiciels 
permettant d*effectuer un fdtrage des paquets utilisant le protocole Internet. Toutefois, 
la niaitrise de ce filtrage pour I'application de politiques de s6curit6 exigeantes est 
difficile et complexe. 

L' invention concerne un procede pour generer de maniere simple et 
automatique les filtres, utilisant le protocole Internet, destines a eviter les risques 
d* intrusion des reseaux informatiques interconnectfis. 

Les termes qui seront ci-apr&s utilises pour exposer la solution technique selon 
I'invention, ont les definitions suivantes : 

On d^signe par "r6seau" un ou des intervalles fermes (au sens 
topologique du terme) d*adresses du Protocole Internet. 
On d6signe par "objets" les 616ments constitutifs d*un reseau. Ainsi, 
sans que cette 6num6ration soit exhaustive, sont des objets au sens de 
la presente invention : les ordinateurs, les 6quipements informatiques, 
les serveurs, les imprimantes, les reseaux (physiques ou logiques), les 
sous-rfseaux (physiques ou logiques), les ^quipements de filtrage, les 
pare-feu, les utilisateurs ou groupes d'utilisateurs, les applications 
informatiques. Un objet est caracterise par son type et par son nom, Par 
exemple un routeur filtrant est un type d*objet, de mSme un ensemble 
de reseaux est un type d*objel. Un objet possede une ou plusieurs 
adresses ou un ou plusieurs intervalles ferm6s d'adresses. 
On dfisigne par "protocole" une convention pr6cisant les r&gles et les 
specifications techniques h respecter dans le domaine des 
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t61€communications afin d' assurer riaterop6rabiiite des objets. 

On designe par "protocole dc coimnunication" un protocoled tel que par 

exemple le protocole Internet, definissant une technique de transfert de 

donndes. 

On designe par "protocole d' application" ou ''service" un protocole 
definissant une technique d'echahge de donnees ou de conunandes 
pour une application d6finie. 

On designe par "classe" Tensemble des adresses ayant les memes lois 
de communication. Une classe peut reunir d'autres classes. Les classes 
sent des objets au sens de la prdsente description de I'invention, 
On designe par "loi de communication" une loi autorisant ou interdisant 
pour le protocole d* application conceme, la communication entre un 
couple d'objets, un couple de classes ou un couple mixte (classe, 
objet). 

On designe par "domaine de s6curit6" un ensemble d*objets 
intercoiuiectes sur lequel s' applique des lois de communication 
spdcifiques k chaque objet ou gfindrales. 

On designe par "lien" ou "connexion", les connexions physiques (les 
cables des i^seaux par exemple) reliant les objets entre eux, Un r^seau 
est un ensemble d'objets interconnectes. 

On ddsigne par ''routeur" un 6quipement permettant 1' interconnexion de 
rcseaux disjoints . 

On designe par "filtre" les moyens techniques permettant de mettre en 
oeuvre les lois de communication- Par exemple la programmation d*tm 
routeur permct de contrSler la possibility de communiquer entre deux 
reseaux disjoints. Par extension on appelle routeur filtrant tout 
equipement permettant le filtrage du protocole Internet 
objectifs vises par la presente invention, 4 savoir ; la g6n6ration de manifere 
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simple et automatique des fUtrcs destines a eviter les risques d*intrusion des r6seaux 
informatiques inierconnect^s, sont atteints a Faide d'un precede consistant a utiliser de 
maniere iterative une interface graphiquc pour : 

crder et visualiser les objets et les classes du domaine de s6curit6, 
s^lectionner el visualiser les protocoles d'application pour lesquels des 
filtres doivent Stre cr66s, 

dessiner sur Tinterface graphique, au raoyen de courbes flfich&s, poxir 
chaque protocole d* application prealablement selecdonne, les iois de 
communication. 

Le dessin de ces courbes flechees representatives des lois de communication 
permet de cr6er simultanement et instantanement la cr6ation des filtres associ6s aux 
routeurs filtrants et s'appliquant aux objets concem€s. A cet effet et selon une €tape 
complementaiie du proc5d6 : 

on convertit les donnfies graphiques representatives des lois de 
commumcation en donn&s de programmation des routeurs filtrants. 
Le proc6d6 selon Tinvention permet d'utiliser Tinterface graphique pour 
visualiser la politique de securite du domaine de s6curit6 et pour la modifier le cas 
echeant. De pr^ffirence, on modifie les lois de communication entre objets ou classes 
sur rinterfacc graphique en s61ectionnant des protocoles d* application pr6d6temiin6s. 

La prdsente invention conceme 6galement un systeme pour generer de maniejne 
simple et automatique les filtres* selon le protocole Internet, destines a eviter les 
risques d*intrusion des rfiseaux informatiques interconnectfis. Le dit systfeme consiste k 
utiliser ime interface graphique associ^e h un terminal de calcul et des raoyens de 
commande interagissant avec I'interface graphique pour : 

cr6er et visualiser les objets et les classes du domaine de securite, 
selectionner et visualiser les protocoles d'application pour lesquels des 
filtres doivent 6tre cr^^s, 

dessiner sur Tinterface graphique, au moyen de courbes fl6ch6cs, pour 
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chaquc protocole d'application pr6alablement s^lectionnfi, les lois de 
communication. 

Le dessin de ces courbes fl^h^es representatives des lois de communication 
permet de creer simultandment et instantan6ment la creation des filtres associfis aux 
routeurs filtrants et s*appliquant aux objets concemfis. A cet effet et selon une 
caracteristique compl^mentaire, le systfeme comprend des moyens de calcul pour : 

convertir les donnfies graphiques representatives des lois de 
communication en donndes de programmation des routeurs filtrants. 
Le systeme selon I'invention permet d'utiliser Tinterface graphique pour 
visualiser la politique de s^curitfi du domaine de security et pour la modifier le cas 
echeant De pr6f6rence, pour modifier les lois de communication entre objets ou 
classes sur I'interface graphique, les moyens de commande component des moyens 
pour selectionner des protocoles d'application predetermines. 

D'auties caract^ristiques et avantages de Tinvention apparaitront i la lecture de 
la description de variantes de realisation de Tinvention, donn6es i titre d'exemple 
indicatif et non limitatif , et de : 

la figure 1 pr^sentant une vue sch6matique en perspective du systeme 
selon r invention ; 

la figure 2 pr^sentant I'&ran de visualisation pendant la phase de 
creation des objets et plus particulierement des r^seaux du domaine de 
s6curit6 ; 

la figure 3 presentant Tecran de visualisation pendant la phase de 
creation des objets et plus particuli&rement des routeurs du domaine de 
securite ; 

ia figure 4 presentant T^cran de visualisation aprfes que les liens entre 
les objets aient 6te specifies (dans le cas repr6sent6 le routeur est 
interconnect^ par des hens physiques a cinq reseaux) ; 
les figures 5 et 6 presentant T^cran de visualisation pendant la phase de 
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creation des classes du domaine de security ; 

la figure 7 presentant Tecran de visualisation pendant la phase de 
selection des protocoles d' application et de dessin des lois de 
communication. 

On va maintenant decrire la figure 1 qui reprfisente une vuc sch^raatique en 
perspective du systemc selon Tinvention. 

Le terminal de calcul 1 comporte un 6cran de visualisation 2 autrement appel6 
interface graphique. Le terminal est command^ par Tutilisateur 3 au moyen d'un 
clavier 4 et d'un bottier de commande 5 (une souris). Ces organes de conunande 
permettent, de manifere usuelle, de d^placer un pointeur 6 sur Tficran de visualisation 
2. Le teiminal de calcul est inierconnectfi par une liaison cSble 7 kmx moins un routeur 
fdtrant programmable 8. Ce routeur est lui mSme interconnect^ aux reseaux 9 par des 
liens 10 , 

On va maintenant dficrire la figure 2 qui repr^sente Tecran de visualisation 
pendant la phase de creation des objets et plus particuliferement des reseaux du domaine 
de s&uritfi. 

La partie droite de la barre d'outil 1 1 de T^cran de visualisation 2 comporte cinq 
ic6nes : 12 selection, 13 routeur filtrant, 14 r6seau, 15 classe, 16 loi de 
communication, dont on d&rira ci-aprfes les fonctions. A gauche de la barre d'outil 1 1 
se trouve les icones 50 : fichier, Edition, couper, coller. De manifere usuelle, ces outils 
permettent, lorsqu*ils sont selectionnes et actives par le pointeur 6 actionne par le 
boitier de commande 5, d'ouvrir des fichiers, d*enregistrer Tinterface graphique, d'en 
couper ou d'en coller des parties. 

Une fen6tre ouverte 17 comporte la liste des services 18 autrement appelfis 
protocoles d'application dans la description. 

Afm de cr&r la representation graphique d'un r^seau sur Tinterface graphique 
2, Futilisatexir utilise la souris 5 pour acliver au moyen du pointeur 6 TicSne 14. Les 
representations graphiques des rdseaux apparaissent sur T^cran de visualisation 2, 
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sous forme de nuages, 19, 20, etc. Au moyen de Toutil de selection 12, Tutilisateiir 
peut sfilectionner, deplacer et disposer h sa convenance les reseaux. Dans rexemple 
reprdsente, le r^seau 20 d6nomm6 "seciiris6" a et6 s61ectionn6* En agissant sur le 
boftier de commande 5 I'utilisateur peut ouvrir des fen^tres de dialogue 21, 22 sur 
Tecran 2 afin d'entrer les propri6t6s du r&eau, notamment les adresses 24, 
L*utilisateur procede de maniere iterative pour cr&r les autres reseaux. 

On va maintenant decrire la figure 3 qui repr^sente T^cran de visualisation 
pendant la phase de crfiation des objets et plus particulierement des routeurs du 
domaine de security. 

Afin de cr6er la representation graphique d'un routeur 25 sur I'interface 
graphique 2, Tutilisateur utilise la souris 5 pour activer au moyen du pointeur 6 ric6ne 
13- La representation graphique du routeur 25 apparaSt sur I'ecran de visualisation 2. 
Au moyen de I'outil de selection 12, Tutilisateur peut selectionner, deplacer et disposer 
k sa convenance le routeur 25 sur I'interface graphique 2. Dans I'exemple repi^sent^, 
le routeur 25 d6noxnm6 "routeur" a ete selectionnfi. En agissant sur le bolticr de 
commande 5 I'utilisateur peut ouvrir des fenStres de dialogue 26 sur T^cran 2 afin 
d'entrer les propri6t6s du routeur notanunent ses specifications (la marque du 
constructeur et du logiciel associe) ainsi que les specifications (les noms) des reseaux 
avec lesquels le routeur est interface. Les liens ou les connexions entre les reseaux 19 
"Internet", 20 "Securlse". 20a "Dmz". 20b "Central", 20c "Commerce'*, et le routeur 
25 sont representes sur I'interface graphique 2 par des traits 27, 28, 28a. 28b. 28c 
(figure 4). L'utilisateur procfede de maniere iterative pour creer les autres routeurs et 
specifier leurs liens avec les reseaux. 

On va maintenant decrire les figures 5 et 6 qui representent recran de 
visualisation pendant la phase de creation des classes du domaine de securite. 

Afin de creer la representation graphique d'une classe 30 sur Tinterface 
graphique 2, Tutilisateur utilise la souris 5 pour activer au moyen du pointeur 6 ric6ne 
13. La representation graphique de la classe 25 apparalt sur recran de visualisation 2. 
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An moyen de Toutil de selection 12, rutUisateur peut s^lectionner, d^placer et disposer 
h sa convenance la classe 30 sur T interface graphique 2. Dans Texemple representi la 
classe 30 d^nomm^e "classe" a 6i6 selectionnee. En agissant sur le boJtier de 
coirunande 5 rutilisateur peut ouvrir des fenetres de dialogue 31» 32 sur I'^cran 2 afin 
d*entrer les propri6t^s de la classe notamment les adiesses du reseau "Dmz" 20 
appartenant a la classe 30 "classe". Un trait de couleur gris pale 31 pennet de visualiser 
Tappartenance de la classe 20a au reseau "Dmz" 20a (figure 6), La classe 32 
d^nommde "classe-central-conimerce" a ete specifiee de telle sorte qu'elle inclut des 
adresses du reseau 20b "Central" et des adresses du rfiseau 20c "Commerce". Aucun 
trait ne relie la classe 32 "classe-central-commerce" aux reseaux 20b "Central" et 20c 
"Commerce". On visualise ainsi sur Tinterface graphique 2 que la classe 32 "classe- 
central-commerce" regroupe des objets presents dans les reseaux "Central" et 
"Commerce", L'ecran 2 de la figure 6 repr&ente, dans le cas particulier d^crit, le 
domaine de security ainsi que les objets (reseaux, routeur) et les classes de ce domaine 
de sScurit6. L'utilisateur precede de manifere iterative pour cr€er les autres classes et 
completer le domaine de security. 

On va maintenant dficrire la figure 7 qui pr6sente Tecran de visualisation 
pendant la phase de selection des protocoles d' application et de dessin des lois de 
communication. 

L'utilisateur actionne le boitier de conmiande 5 pour dSplacer le pointeur 6 et 
selectionner puis activer dans la fen6tre services (protocoles d' application) 18, le 
protocole d* application concern^. La liste des protocoles d* application apparaissant 
dans la fenStre services 18 est propos6e par d^faut, Tutilisateur a la possibility d'en 
ajouter d'autres. Dans le cas dficrit le protocole d' application selectionnfi est le 
protocole 40 "smtp". Par defaut, la" loi de communication ", c'est-^-dire la loi 
autorisant ou interdisant pour le protocole d' application concern^, la communication 
entre un couple d*objets, un couple de classes ou un couple mixte ( classe, objet) est 
une loi d'interdiction. Pour definir la politique de s6curit6 associ6e au protocole 
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d' application 40 "smtp*' selectionnc, Tutilisateur proc&de comme il sera ci-aprcs d&rit 
en se r^ferant k deux cas particuliers. 

Dans le premier cas, pour mettre en place une loi d*autorisation du rfiseau 
•'Internet" 19 vers la classe "classe" 30, Tutilisateur utilise la souris 5 pour activer au 
moyen du pointeur 6 TicSne 16. D specific alors au moyen d'une fenStre de dialogue 
qu*il s'agit d'une loi d'autorisation* Ensuite Tutilisateur positionne le pointeur 6 sur le 
r6seau "Internet" 19, actionne le boitier de commande 5 pour s^lectionner le r^seau 
"Internet" 19, d6place le pointeur 6 du i^seau "Internet " 19 vers la classe "classe" 30 
et la s61ectionne, Une ligne fldchee 41 coloree en vert est ainsi dessinee sur Tinterface 
graphique 2, la pointe de la fleche etant orientee vers la classe "classe" 30. L'utilisateur 
precede de la meme fagon pour mettre en place une loi d'autorisation de la classe 
"classe" 30 vers le reseau "Internet" 19. II dessine ainsi une autre ligne flcchee 42 
colorfie en vert, la pointe de la fleche etant orientee vers le reseau "Internet" 19. 
L'utilisateur a ainsi visualise sur Tinterface graphique que les 6quipements 
informatiques appartenant a la classe 30 "classe" du sous-ensemble du rdseau 20a 
"Dmz", peuvent communiquer dans les deux sens avec les objets du r6seau "Internet" 
19. 

Dans le deuxifcme cas, pour mettre en place une loi d*autorisation du reseau 
"Central" 20b vers la classe 30 "classe" et une loi d*interdiction de la classe 32 "classe- 
central-commerce" vers la classe 30 "classe", Tutilisateur procfede comme 
pr6c6demment, en sp&ifiant au moyen de la fenStie de dialogue la loi d'autorisation et 
celle d' interdiction. II dessine ainsi deux lignes fl^ch^es, Tune 43 color^ en vert, 
Tautre 44 coloree en rouge. L'udlisateur a ainsi visualise sur I'interface graphique que 
les equipements informatiques du reseau 20b "Central" peuvent communiquer avec le 
sous-ensemble des equipements informatiques du reseau 20a "Dmz", appartenant k la 
classe 30 "classe" mais que par contre les Equipements informatiques des r^seaux 20b 
"Central" et 20c "Conmerce" appartenant a la classe 32 "classe-centra-commerce" ne 
peuvent pas conmiuniquer avec le sous-ensemble des equipements informatiques du 
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r&eau 20a "Dmz", appartenant it la classe 30 "classe", Lorsqu*il y a conflit de loi, 
c'est la loi d' interdiction qui Temporte sur la loi d*autorisation, 

Uutilisateur procede de maniferc Iterative pour sdlectionner les autres protocoles 
d'application et dessiner les lois de conununication qui leur sont associes. 

Le dessin de ces courbes fl&h^es representatives des lois de communication 
permet de creer simultan^ment et instantan6ment la creation des filtres associ6s aux 
routeurs fiitrants et s'appliquant aux objets concem^s. A cet effet» le terminal de calcul 
1 comprend des moyens de calcul la pour convertir les donn&s graphiques 
correspondant aux lois de conununication en donn^es de programmation des ix)uteurs 
fiitrants 8. Les donn^es de programmation sont transf6r^s du terminal de calcul 1, par 
la liaison 7, vers le routeur filtrant 8 dont les paramfetres de filtrage sont ainsi 
automatiquement et rapidement regies. 
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REVENDICATIONS 

1. precede pour g^n^rer de maniire simpLe et automatique les filtres, selon 
le protocolc internet, destin6s k 6viter les risques d'intrusion des r^seaux 
informatiqucs interconnect^s ; Jedit precede comprenant la mise en oeuvre 

5 d'une interface graphique (2) pour, de maniere iterative : 

- cr^er (13, 14, 15} et visualiser (2) les objets (20, 25) et les classes 
(30, 32) du domaine de s^curitd, 

- sflectionner (12) et visualiser (18) les protocoles d'appUcation (40) 
pour lesquels des filtres doivent etre cr^s, 

10 - dessJner (16) sur Tinterface graphique (2), pour chaque protocole 

d 'application (40) prealablement silectionnd, les lois de communication, au 
moyen de courbes fl^ch&s (41, 42, 43, 44) reliant les objets et/ou les 
classes du domaine de securite, 

(de sorte que le dessin de ces courbes flech&s permet de reprdsenter les 
15 lois de communication du domaine de security). 

2. Proced6 selon la revendication 1, tel que pour cr6er les filtres associes 
aux routeurs filtrants (25) et s'appliquant aux objets (20) concemes, 

- on convertit les donn^es graphiques representatives des lois de 
communication en donndes de programmation des routeurs filtrants (8, 25), 

20 3, Proc6d6 selon Tune des revendications 1 ou 2, tel que pour modifier la 
politique de steurite du domaine de security, 

- on modifie les lois de communication (41, 42, 43, 44) entre objets 
(20) ou classes (30) sur Tinterface graphique (2), en s61ectionnant des 
protocoles d'application predetermines. 

25 4. Systfeme pour g^n^rer de maniere simple et automatique les filtres, selon 
le protocole internet, destines k 6viter les risques dUntrusion des reseaux 
informatiques interconnectes ; le dit systeme comprend une interface 
graphique (2) associte k un terminal de calcul (1) et des moyens de 
commande (4, 5) interagissant de maniere iterative avec T interface 
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graphique (2) pour : 

- creer (13,14,15) et visualiser (2) les objcts (20, 25) et les classes (30) 
du domaine de security, 

- s£lectionner (12) et visualiser (18) les protocoles d*appIication (40) 
5 pour lesquels des filtres doivent etre cre^s 

- dessiner (16) sur IMnterface graphique (2), pour chaque protocole 
d'application (40) prealablement selectionn6, les lois de communication ,au 
moyen de courbes fl^ch^es (41, 42, 43, 44) reliant les objets et/ou les 
classes du domaine de security, 

10 (de sorte que le dessin de ces courbes fl^ch^es pemnet de representer les 
lois de communication du domaine de security), 

5. Syst^ime selon la revendication 4 tel que, pour creer les filtres associes 
aux routeurs filtrants (25) et s'appliquant aux objets concernes, le syst&me 
comprend des moyens de calcul (la) pour : 

15 - convertir les donn^es graphiques representatives des lois de 

communication en donnees de programmation des routeurs filtrants (8, 25). 

6, Systeme selon les revendications 4 ou 5 tel que, pour modifier la 
politique de s^curite du domaine de s6curit6, les moyens de commande (4, 
5) component des moyens pour selectionner des protocoles d*application 

20 pr6d6tennin6s. 
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